海康威视的海康摄像头漏洞，从来不是摄像新闻里那种“可能被入侵”的抽象威胁。我亲眼见过一个真实案例：某物流园区的头漏监控系统被黑，攻击者不是海康冲着画面去的，而是摄像直接接管了摄像头的云台控制权，把镜头转向仓库死角，头漏然后让搬运工在“盲区”里搬走了整托盘的海康货物。整个过程持续了四十分钟，摄像保安盯着屏幕看，头漏画面一切正常——因为黑客播放的海康是前一天同时段的录像。

这事发生在2022年，摄像用的头漏漏洞编号是CVE-2021-36260。这个洞其实很老，海康海康在2021年9月就发布了补丁，摄像但那个物流园区的头漏固件版本停留在2020年。问题从来不是漏洞本身，而是设备生命周期管理烂到根子里。摄像头这种设备，装上去五年没人碰固件是常态，甲方觉得“能出画面就行”，乙方懒得远程升级，最后全成了黑客的后花园。

更讽刺的是，这个漏洞利用门槛低到离谱。不需要任何认证，只要往特定端口发一段精心构造的HTTP请求，就能在设备上执行任意命令。网上公开的PoC脚本一大把，连注释都写得比某些公司的代码规范。我试过，从下载工具到拿下root权限，全程不到三分钟。你甚至不需要懂二进制，照着README敲命令就行。

海康的问题在于，它把设备做得太“好用”了。默认开启的RTSP服务、弱口令检测形同虚设、老型号不强制更新——这些设计上的偷懒，全成了攻击者的垫脚石。有个做安防的朋友跟我说过一句大实话：“我们卖的是摄像头，不是安全设备。客户要的是清晰度，谁管你漏洞不漏洞。”这话难听，但真实。

最让人后背发凉的是那些接入公网的设备。用Shodan随便搜一下，中国区的海康摄像头暴露在公网的数量以十万计。有些连密码都不改，直接沿用admin/12345。你半夜睡不着，打开手机就能看到某个陌生仓库的实时画面，货架上堆什么牌子方便面都看得一清二楚。这已经不是技术问题了，是道德问题。

可话说回来，骂海康也没用。换成大华、宇视，一样有类似漏洞。本质上是整个物联网行业的通病：硬件厂商追求出货量，软件安全排在最后一位。加上很多项目是集成商投标时低价拿下的，根本没预留安全运维的预算。摄像头装完，验收签字，后面三年没人管——直到出事那天。

我建议所有还在用海康设备的单位，立刻做三件事：第一，查固件版本，低于V5.5.0的直接拔线；第二，改掉所有默认密码，别用生日和手机号；第三，把摄像头隔离到独立VLAN，别跟办公网混在一起。别觉得麻烦，等黑客帮你做这些事的时候，代价就不是几小时加班能填平的了。